Évaluer un risque

Le chapitre précédent a défini le risque : la probabilité qu'une menace exploite une vulnérabilité, multipliée par ce que cela coûterait. Reste à s'en servir. Car une équipe ne manque presque jamais de risques identifiés --- elle manque de moyens de décider lequel traiter en premier, et lesquels elle accepte de laisser en place. Évaluer, ce n'est pas produire un chiffre : c'est rendre un arbitrage discutable.

La méthode qualitative : des seuils, pas des nombres

C'est la plus répandue, et de loin la plus utile au quotidien. On classe chaque risque sur deux axes --- la gravité de la conséquence et la probabilité qu'elle survienne --- puis on lit le croisement dans une matrice.

risque = gravité × probabilité

Les deux facteurs sont estimés par des humains, sur une échelle courte : faible, moyen, élevé. Aucune donnée n'est requise, ce qui est à la fois sa force et sa limite.

La matrice ne calcule rien : elle force à placer chaque risque quelque part, et rend visible qu'on ne les a pas tous mis en haut à droite.

Sa vraie valeur n'est pas dans la case obtenue, mais dans la discussion qui y mène. Deux personnes qui placent le même risque à deux endroits différents ont un désaccord réel sur le système --- et il vaut mieux le découvrir autour d'une table qu'après l'incident.

La méthode quantitative : mettre un prix

Quand on doit justifier une dépense, les seuils ne suffisent plus : personne n'arbitre un budget avec « élevé ». La méthode quantitative remplace les adjectifs par des montants, au prix d'hypothèses qu'il faut assumer.

ALE = SLE × ARO

Un exemple mené jusqu'au bout

Une fuite de données clients. On estime qu'un client lésé peut réclamer 20 000 €, et l'on en compte cent : la perte par sinistre est donc de deux millions d'euros. On estime la probabilité annuelle à un millième --- un incident tous les mille ans, ce qui est une hypothèse forte et doit être écrit comme telle.

ALE = 20 000 × 100 × 0{,}001 = 2 000 € par an

La conclusion est inconfortable et c'est ce qui la rend utile : tant que le contrôle de sécurité envisagé coûte moins de deux mille euros par an, il est rentable. Au-delà, on dépense plus que ce qu'on protège.

Ce que cela donne sur une pipeline

Les deux méthodes s'appliquent directement à ce que vous construisez en TP. Prenons trois risques familiers.

Le troisième cas mérite l'attention : il est fréquent et peu grave, donc jamais prioritaire --- et c'est pourtant lui qui, à force, apprend à l'équipe à ignorer le rouge. Voir le chapitre .

Le premier risque justifie tout ce que le chapitre met en place. Le deuxième explique pourquoi le chapitre existe. Le troisième ne se traite pas par un contrôle de sécurité mais par de la fiabilité --- et c'est en cela que l'évaluation est utile : elle dit aussi quand la réponse n'est pas sécuritaire.